В рамките на широкомащабната международна операция Operation Endgame правоохранителните органи от САЩ, Нидерландия и други страни извършиха сериозен удар срещу киберпрестъпността, като иззеха контрола над AVCheck.net – една от най-големите платформи, подпомагащи създаването и тестването на зловреден софтуер. Сайтът AVCheck вече показва банер за конфискация, носещ логата на Министерството на правосъдието на САЩ, ФБР, Сикрет сървис и нидерландската полиция (Politie).

Какво представлява AVCheck?

AVCheck е т.нар. Counter Antivirus (CAV) услуга, предназначена за престъпни цели – тя позволява на хакери и автори на зловреден код да проверяват дали техният софтуер се засича от популярни антивирусни решения, преди да го пуснат „на свобода“. Това е ключова стъпка в усъвършенстването на зловреден софтуер, с цел той да остане незабелязан и максимално ефективен при атаки срещу реални цели.

Киберпрестъпниците следват стандартна процедура: първо криптират или обфускират зловредния код с помощта на специални криптиращи услуги (като Cryptor.biz и Crypt.guru), след което го тестват в AVCheck, за да се уверят, че антивирусните програми не го засичат. Едва тогава зловредният софтуер се разпространява в реални кампании срещу цели като бизнеси, държавни институции или частни лица.

Разследването и последствията

Според официалното съобщение на нидерландската полиция, неутрализирането на AVCheck представлява важен превантивен удар по киберпрестъпната екосистема, като прекъсва възможността за безнаказано усъвършенстване на зловреден софтуер. Разследващите органи са проследили и установили връзки между AVCheck и криптиращите услуги Cryptor.biz (вече също конфискуван) и Crypt.guru (офлайн).

Интересен момент в операцията е използването на фалшива страница за вход, поставена преди конфискацията, която предупреждавала потребителите за потенциални правни последствия от използването на сайта – вероятно с цел идентифициране и събиране на доказателства срещу клиентите на AVCheck.

Американските власти заявиха, че са провели под прикритие тестови покупки на услугата, анализирали са нейните функционалности и са потвърдили, че е била създадена с цел улесняване на престъпления. Освен това, чрез анализ на свързани имейли и други цифрови следи са установени връзки с известни рансъмуер групировки, извършвали атаки на територията на САЩ, включително и в района на Хюстън.

Коментар от ФБР

„Киберпрестъпниците не просто създават зловреден софтуер – те го усъвършенстват до съвършенство,“ коментира агент Дъглас Уилямс от ФБР. „Чрез услуги като AVCheck те настройват дигиталните си оръжия така, че да заобикалят най-строгите защитни системи и да причиняват максимални щети.“

Част от по-голяма кампания

Този удар е част от по-мащабната международна операция Endgame, в рамките на която вече бяха конфискувани над 300 сървъра и 650 домейна, използвани за рансъмуер атаки и разпространение на малуер. Сред другите ключови цели бяха и известните зловредни платформи Danabot и Smokeloader.